Eliciting Intrinsic Hallucinations in LLMs via Semantically Equivalent Adversarial Attacks

Stellen Sie sich vor, Sie sprechen mit einem superintelligenten Roboter-Bibliothekar, der fast jedes Buch im Universum gelesen hat. Sie stellen ihm eine Frage und überreichen ihm zur Sicherheit eine spezifische Seite aus einem Buch, die er als Antwortschlüssel verwenden soll. Dieses Setup wird als Retrieval-Augmented Generation oder RAG bezeichnet. Es ist so, als würde man dem Roboter ein Referenzblatt geben, damit er nicht aus seinem eigenen Gedächtnis raten muss. Die Hoffnung ist, dass der Roboter sich strikt an das Referenzblatt hält und sein eigenes internes Wissen ignoriert, wenn die beiden nicht übereinstimmen. Aber hier ist der Haken: Manchmal wird der Roboter trotz des Referenzblatts in der Hand verwirrt, vergisst, was er gerade liest, oder fängt trotzdem an, Dinge zu erfinden. Dies wird als „intrinsische Halluzination“ bezeichnet. Es ist nicht so, dass der Roboter absichtlich lügt; es ist vielmehr so, dass sein Gehirn einfach zu sprunghaft ist, um der Beweislast direkt vor ihm treu zu bleiben.

Stellen Sie sich nun vor, Sie sind ein Detektiv, der herauszufinden versucht, wie sprunghaft dieser Roboter wirklich ist. Sie könnten ihm dieselbe Frage auf hundert verschiedene Arten stellen, aber wenn Sie die Bedeutung der Frage ändern, könnte der Roboter durch das neue Thema verwirrt werden. Um seinen Fokus wirklich zu testen, müssen Sie exakt dieselbe Frage stellen, aber sie in einem Dutzend verschiedenen Akzenten, Dialekten oder Satzstrukturen flüstern. Wenn der Roboter eine andere (und falsche) Antwort gibt, nur weil Sie „Wie spät ist es?“ statt „Könnten Sie mir die aktuelle Uhrzeit nennen?“ gesagt haben, dann hat der Roboter ein ernstes Problem mit der Konsistenz. In dieser Arbeit geht es darum, eine Maschine zu entwickeln, die diese kniffligen, bedeutungserhaltenden Variationen flüstert, um zu sehen, ob der Roboter-Bibliothekar unter dem Druck einknickt.

Die Forscher hinter dieser Studie haben sich entschieden, diese KI-Systeme mit einem cleveren neuen Framework auf die Probe zu stellen. Sie haben die Modelle nicht nur dazu gebracht, ihre Sicherheitsregeln zu brechen (was eine gängige Methode ist, um KI zu testen); stattdessen haben sie sie dazu gebracht, ihre eigene Ehrlichkeit zu brechen. Sie setzten ein Team digitaler „Angreifer“ ein – einige nutzten Mathematik, um Wörter zu manipulieren, andere nutzten genetische Algorithmen, um neue Sätze zu entwickeln, und wieder andere nutzten andere KIs, um Fragen umzuformulieren –, um die perfekte, bedeutungserhaltende Umformulierung zu finden, die den Roboter dazu bringen würde, zu halluzinieren. Das Ziel war es zu sehen, ob sie den Roboter austricksen konnten, den bereitgestellten Kontext zu ignorieren und eine Geschichte zu erfinden, obwohl die Frage exakt dieselbe Bedeutung hatte wie das Original.

Die Ergebnisse waren ein Schock. Das Team stellte fest, dass selbst die fortschrittlichsten, modernsten Modelle überraschend fragil sind. Wenn sie diese semantisch äquivalenten Angriffe anwandten, sank die Fähigkeit der Modelle, den Fakten treu zu bleiben, drastisch. In einigen Fällen sank die Treue des Modells gegenüber den bereitgestellten Belegen bei spezifischen Modellen wie GPT-5-mini auf bestimmten Datensätzen um bis zu 50 %. Beispielsweise sank die Treue von GPT-5-mini auf dem FaithEval-Datensatz von 0,72 auf 0,22 – eine Abnahme um 41,7 % – wobei das Modell plötzlich nicht mehr in der Lage war, korrekt zu antworten, wenn die Frage nur geringfügig anders formuliert war, obwohl sich die Bedeutung überhaupt nicht geändert hatte.

Das Paper legt nahe, dass es nicht ausreicht, die Modelle einfach nur größer oder klüger zu machen, um dieses Problem zu lösen. Die Forscher testeten alles, von kleinen Open-Source-Modellen bis hin zu massiven, geschlossenen Giganten, und alle stolperten, wenn sie mit diesen bedeutungserhaltenden Tricks konfrontiert wurden. Die Angriffe waren so effektiv, dass sie die Modelle dazu bringen konnten, Dinge wie „Nicht in der Lage zu antworten“ zu sagen oder Details zu erfinden, die nicht im Text standen, obwohl die Frage logisch identisch mit der ursprünglichen war.

Interessanterweise spielte die Art des Angriffs eine Rolle. Einige Methoden, die lediglich Wörter durch Synonyme ersetzten (wie „groß“ durch „massiv“ zu tauschen), ließen die Fragen oft seltsam und unnatürlich klingen, was die Modelle leicht erkennen konnten. Aber die Methoden, die andere KIs nutzten, um den gesamten Satz natürlich umzuformulieren – wobei der Fluss und die Bedeutung perfekt erhalten blieben –, waren die wahren Unruhestifter. Diese natürlich klingenden Angriffe waren diejenigen, die den größten Leistungsabfall verursachten, was bewies, dass die Modelle nicht nur gegenüber seltsamem Kauderwelsch, sondern auch gegenüber der natürlichen Varianz der menschlichen Sprache brüchig sind.

Die Studie untersuchte auch, wie die Modelle scheiterten. Manchmal verweigerten sie einfach die Antwort, aber oft bekamen sie die Fakten falsch, lasen den Kontext falsch oder vollzogen schlechte logische Schlüsse. Dies zeigt, dass das Problem nicht nur darin besteht, dass die Modelle eigensinnig sind; es ist vielmehr so, dass ihre Fähigkeit, ihre Antworten an den bereitgestellten Text zu binden, fundamental wackelig ist. Die Forscher kommen zu dem Schluss, dass wir neue Architekturen und Trainingsmethoden benötigen, die die Modelle dazu zwingen, bei den Belegen zu bleiben, ungeachtet dessen, wie die Frage formuliert ist. Bis dahin könnten selbst die klügsten KI-Bibliothekare nur einen leicht abweichenden Satz davon entfernt sein, eine völlig neue Geschichte zu erfinden.